Утечка данных Bookmate

В утечке Bookmate подтверждено наличие адресов электронной почты, имён, имён пользователей, дат рождения, сведений о поле, географического местоположения и паролей. Адреса электронной почты и имена пользователей могут использоваться для сопоставления аккаунтов. Имя, дата рождения и сведения о поле позволяют создавать более персонализированные сообщения. Данные о местоположении могут использоваться во зло для определения региональной принадлежности пользователя или создания более убедительных поддельных уведомлений с местным контекстом.

Хранение паролей в формате SHA-512 с солью снижает вероятность того, что одинаковые пароли разных пользователей дадут одинаковые результаты хеширования. Однако SHA-512 относится к семейству хеш-функций, которые можно вычислять быстро. Слабые или повторно используемые пароли со временем могут стать предсказуемыми. Поэтому риск не ограничивается аккаунтом Bookmate. Если пользователь применял тот же пароль для электронной почты, социальных сетей, книжных сообществ, покупок или рабочих аккаунтов, эти аккаунты также следует проверить.

Подтверждённый объём этой записи: 3 830 916 уникальных адресов электронной почты и семь категорий данных: даты рождения, адреса электронной почты, сведения о поле, географическое местоположение, имена, пароли и имена пользователей. Данные платёжных карт, номера телефонов, физические адреса, история чтения и содержимое личных сообщений не входят в число подтверждённых категорий данных для этой записи. Эти границы важны как для точного информирования пользователя, так и для того, чтобы не включать неподтверждённые сведения в описание масштаба утечки.

Инцидент касается аккаунтов пользователей сервиса Bookmate. Не следует автоматически считать, что утечка также затронула аналогичные приложения для электронных книг, издательства или партнёров из числа мобильных операторов. Число в записи отражает охват уникальных адресов электронной почты. Хотя количество строк или исходных записей может различаться в разных источниках, планирование должно опираться на число уникальных аккаунтов с подтверждёнными действиями пользователей и на подтверждённые типы данных.

Наибольшему риску подвержены пользователи, которые повторно используют пароль от аккаунта Bookmate в других аккаунтах. Личные данные, такие как дата рождения, имя, пол и местоположение, могут использоваться для адресной рассылки поддельных сообщений о подписках, рекомендациях книг, проверке аккаунта или региональных акциях. Для тех, кто использует одно и то же имя пользователя в книжных сообществах, социальных сетях и на форумах, также повышается риск сопоставления профилей.

Поскольку в прошлом сервис Bookmate расширял своё присутствие в разных регионах, пользователи могли забыть об аккаунтах, созданных много лет назад. Если пароли от старых аккаунтов всё ещё используются где-либо ещё, риск остаётся актуальным. Пользователям, которые зарегистрировались с основным адресом электронной почты, не используют менеджер паролей или продолжают применять старые шаблоны паролей с небольшими изменениями, следует в первую очередь заняться рисками, связанными с этой записью.

Пользователям, для которых найдено совпадение с этой записью, следует сначала определить, какой пароль они использовали в аккаунте Bookmate и в каких других аккаунтах применяется тот же пароль. Если такой же или похожий пароль всё ещё используется в другом аккаунте, его необходимо немедленно изменить. В первую очередь следует обратить внимание на аккаунты электронной почты, социальных сетей, облачных хранилищ, магазинов, сервисов подписки и рабочие аккаунты. Создание уникального длинного пароля для каждого аккаунта снижает риск атак методом перебора с использованием старых наборов данных.

Пользователям следует с осторожностью относиться к персонализированным сообщениям о продлении подписки, поддельным рекомендациям книг, сообщениям о безопасности аккаунтов или скидках. Вместо входа по полученным ссылкам следует открывать нужный сервис напрямую, не открывать неожиданные файлы и обновлять данные для восстановления аккаунта. Для важных аккаунтов следует включить двухэтапную проверку и отказаться от использования вариантов старых паролей.

Случай Bookmate показывает, что сервисы цифрового контента и подписок тоже содержат значимые данные личных профилей. Пользователям следует регулярно проверять, какие сведения о себе они предоставляют в подписках на книги, музыку, видео и образовательные материалы. Аккаунты, которые больше не используются, следует закрыть. Для аккаунтов, которые закрыть нельзя, необходимо использовать уникальные пароли и ограничить сведения в таких полях, как дата рождения, местоположение или общедоступное имя пользователя, чтобы они не содержали лишних подробностей.

Для поставщиков услуг подобные инциденты показывают, что помимо способа хранения паролей важны также сегментация данных профилей, контроль доступа, управление резервными копиями и процессы уведомления об инцидентах. Пользователям следует сочетать проверку паролей на наличие в утечках с использованием надёжных менеджеров паролей, многофакторной аутентификацией и удалением старых аккаунтов. Даже если аккаунт в сервисе подписки кажется малозначимым, последствия утечки могут стать серьёзнее в сочетании с данными личного профиля.

Совпадение адреса электронной почты с этой записью указывает на то, что пользователь присутствует в наборе данных Bookmate. Пользователю следует сначала определить, какой пароль он использовал в аккаунте Bookmate, а затем проверить, применялся ли тот же пароль или его похожие варианты в других аккаунтах. Благодаря таким данным, как дата рождения, местоположение и имя, сообщения могут выглядеть более персонализированными. Поэтому сообщения о безопасности аккаунтов следует внимательно проверять.

Совпадение не доказывает, что пароль передавался в открытом виде. Однако раскрытие хешей паролей SHA-512 с солью и данных личного профиля, достаточный повод обратить внимание на безопасность. Риск захвата аккаунта и фишинга вследствие утечки Bookmate снижается при комплексном применении уникальных паролей, двухфакторной аутентификации, проверке уведомлений электронной почты напрямую через доверенный канал и удалении старых аккаунтов в сервисах подписки.